Shadow Data: Risiko Keamanan Data Tersembunyi yang Tidak Boleh Diabaikan Perusahaan

Oleh Mairi Herman, Direktur SearchInform Indonesia

Seiring dengan perkembangan pesat teknologi digital, informasi sensitif tersebar di perangkat karyawan, penyimpanan cloud, aplikasi SaaS, folder bersama, lingkungan pengembangan, dan sistem pencadangan. Sebagian data tersebut pada akhirnya luput dari pengawasan tim TI, keamanan informasi, dan kepatuhan. Risiko keamanan serius ini dikenal sebagai shadow data.

Menurut laporan Cost of a Data Breach 2024 dari IBM, sebanyak 35% insiden kebocoran data melibatkan shadow data. Insiden semacam ini juga menimbulkan biaya lebih besar. Rata-rata biaya insiden yang melibatkan shadow data mencapai USD 5,27 juta, atau 16,2% lebih tinggi dibandingkan insiden yang tidak melibatkan shadow data.

Apa Itu Shadow Data?

Shadow data adalah data perusahaan yang berada di luar lingkungan yang seharusnya dipantau dan dikelola sesuai kebijakan organisasi.

Data tersebut bisa saja merupakan informasi bisnis yang sah, tetapi disimpan atau disalin ke lokasi yang tidak dipantau secara memadai. Data semacam ini sering kali tidak tercakup dalam kebijakan dan kontrol keamanan perusahaan. Akibatnya, data menjadi lebih sulit ditemukan dan diawasi serta lebih rentan terhadap akses tanpa izin.

Shadow Data Bukan Hanya Masalah Cloud

Shadow data sering dikaitkan dengan layanan cloud dan shadow IT, padahal keberadaannya tidak terbatas pada keduanya. Data ini dapat tersimpan di komputer kerja karyawan, server file, folder jaringan bersama, perangkat USB, lampiran email, arsip lokal, lingkungan pengembangan, database lama, hingga cadangan data.

IBM menemukan bahwa 25% insiden kebocoran data yang melibatkan shadow data terjadi sepenuhnya di lingkungan on-premises.

Bagaimana Shadow Data Muncul? Contoh yang Umum Terjadi

• File disimpan di akun pribadi. Karyawan mengirim dokumen perusahaan ke email pribadi atau penyimpanan cloud pribadi agar lebih mudah diakses.
• Data diunduh ke perangkat pribadi. File sensitif tetap tersimpan di laptop atau tablet pribadi setelah karyawan selesai menggunakannya untuk bekerja.
• Penggunaan SaaS yang tidak disetujui. Karyawan mengunggah informasi perusahaan ke layanan cloud, alat konversi file, atau platform kolaborasi tanpa persetujuan tim keamanan.
• Layanan AI. Penggunaan alat berbasis AI semakin sering menjadi salah satu penyebab munculnya shadow data. Karyawan dapat mengunggah dokumen rahasia, kode sumber, data pelanggan, atau informasi sensitif lainnya ke layanan tersebut untuk dianalisis, diringkas, atau digunakan dalam pembuatan konten. Pelajari lebih lanjut dalam white paper SearchInform: AI as a Data Leak Channel.
• Salinan data sensitif yang tidak terinventarisasi. Informasi dari sistem CRM, ERP, SDM, atau akuntansi diekspor ke spreadsheet dan disimpan secara lokal.
• Lingkungan pengembangan dan pengujian. Database produksi disalin ke lingkungan pengujian, tetapi mendapatkan tingkat perlindungan yang lebih rendah dibandingkan sistem aslinya.
• Cadangan lama dan file sementara. Informasi sensitif tetap tersimpan dalam arsip, snapshot, file ekspor, atau folder yang terlupakan jauh setelah tidak lagi diperlukan.

Shadow data sulit diamankan, baik di lingkungan on-premises maupun cloud, jika perusahaan tidak mengetahui lokasi penyimpanannya.

Mengapa Shadow Data Menjadi Risiko bagi Bisnis?

Risiko Kebocoran Data Lebih Tinggi

Setiap salinan data yang tidak dikelola menambah risiko terungkapnya informasi sensitif.

Sebagai contoh, data rahasia pelanggan yang diunduh ke laptop pribadi mungkin tidak lagi dilindungi oleh kontrol akses atau sistem pemantauan perusahaan. Data tersebut kemudian bisa terekspos melalui malware, pencadangan cloud pribadi, aktivitas berbagi file, atau sekadar terlupakan di perangkat.

Investigasi Insiden Menjadi Lebih Lama

Shadow data juga mempersulit tim keamanan saat merespons insiden.

IBM melaporkan bahwa insiden kebocoran data yang melibatkan shadow data membutuhkan waktu 26,2% lebih lama untuk diidentifikasi dan 20,2% lebih lama untuk dikendalikan.

Risiko Kepatuhan

Shadow data juga dapat menimbulkan persoalan kepatuhan terhadap regulasi.

Data pribadi, data keuangan, dan jenis informasi lain yang diatur oleh regulasi tetap tunduk pada kewajiban perlindungan data, meskipun karyawan memindahkannya ke luar sistem yang disetujui.

Risiko kepatuhan yang umum meliputi:

• Menyimpan data pribadi lebih lama daripada jangka waktu yang diizinkan;
• Memberikan akses ke file sensitif kepada terlalu banyak karyawan;
• Menyimpan data rahasia di lingkungan cloud yang tidak disetujui;
• Memindahkan informasi ke negara lain melalui layanan cloud atau SaaS;
• Tidak dapat menemukan seluruh salinan data pribadi ketika menanggapi permintaan dari subjek data pribadi.

Tidak mengetahui keberadaan data tidak menghapus tanggung jawab perusahaan untuk melindunginya.

Cara Mengendalikan Shadow Data

Pendekatan yang paling efektif dan praktis adalah menemukan informasi sensitif secara berkelanjutan serta mengendalikan cara data disimpan dan ditransfer.

1. Temukan Data Sensitif

Perusahaan perlu mengidentifikasi informasi sensitif di endpoint, server file, penyimpanan jaringan, dan lingkungan cloud.

Volume data perusahaan yang terus meningkat membuat pengelolaan manual semakin sulit. Solusi DCAP membantu menata penyimpanan file, mendeteksi salinan yang tidak sah, dan mengetahui lokasi informasi sensitif.

2. Klasifikasikan Data

Informasi sensitif perlu diklasifikasikan berdasarkan konten dan nilainya.

Kategori yang umum meliputi data pribadi, catatan keuangan, kekayaan intelektual, kontrak, kredensial, dan dokumen rahasia perusahaan lainnya.

Klasifikasi data memudahkan penerapan kontrol keamanan yang sesuai.

3. Tinjau Hak Akses

Perusahaan perlu memeriksa secara berkala siapa yang dapat mengakses file sensitif dan apakah hak akses tersebut masih diperlukan.

Penerapan prinsip hak akses minimum (least privilege) mengurangi jumlah pengguna yang dapat mengakses informasi rahasia. FileAuditor, solusi DCAP dari SearchInform, secara otomatis menemukan file, mengklasifikasikannya menggunakan label, membantu mengatur hak akses berdasarkan konten, serta menjaga penyimpanan file perusahaan tetap tertata dan terkendali.

4. Pantau Transfer Data

Sistem DLP dapat memantau transfer data melalui email, aplikasi web, layanan cloud, aplikasi perpesanan perusahaan, perangkat penyimpanan eksternal, dan berbagai saluran lainnya.

Teknologi DCAP melengkapi DLP dengan membantu perusahaan menemukan dan mengklasifikasikan file sensitif serta menganalisis hak akses di berbagai lingkungan penyimpanan. Untuk melihat penerapannya secara langsung, SearchInform DLP tersedia untuk uji coba gratis selama 30 hari.

Kesimpulan

Seiring waktu, shadow data dapat meningkatkan risiko ketidakpatuhan dan paparan data perusahaan. Perlindungan data yang efektif dimulai dengan mengetahui jenis data sensitif yang dimiliki, lokasi penyimpanannya, siapa yang dapat mengaksesnya, dan bagaimana data tersebut berpindah.

TENTANG SEARCHINFORM

SearchInform adalah vendor produk keamanan informasi dan manajemen risiko. Klien perusahaan mencakup lebih dari 4.000 perusahaan di lebih dari 20 negara. Saat ini, tim menyediakan produk dan layanan untuk perlindungan komprehensif terhadap ancaman orang dalam di semua tingkat sistem informasi perusahaan: FileAuditor (solusi kelas DCAP); sistem DLP dengan fungsionalitas yang diperluas; Risk Monitor (platform canggih untuk mitigasi ancaman orang dalam); sistem SIEM; layanan outsourcing keamanan informasi.

Jelajahi portofolio lengkap produk keamanan siber SearchInform, termasuk solusi DLP, DCAP, dan manajemen risiko orang dalam.